Vault что это за программа
Безопасное использование секретов: шаблон для использования HashiCorp Vault
HashiCorp Vault — это инструмент с открытым исходным кодом, который обеспечивает безопасный и надежный способ хранения и распространения секретов, таких как ключи API, токены доступа и пароли. Программное обеспечение, такое как Vault, может быть критически важным при развертывании приложений, требующих использования секретов или конфиденциальных данных.
Согласно недавнему исследованию ученых из Университета штата Северная Каролина, более 100 000 общедоступных репозиториев GitHub содержат открытые секреты приложений непосредственно в исходном коде. Это исследование — от частных токенов API до криптографических ключей — просканировало только около 13% общедоступных репозиториев GitHub — показывает, что надлежащая защита секретов приложений является одним из наиболее часто игнорируемых методов защиты информации в программном обеспечении.
Хотя масштабы воздействия удивительны, важно отметить, что эта проблема затрагивает не только проекты с открытым исходным кодом. Даже частные репозитории исходного кода могут раскрывать секреты, если они не защищены должным образом. Возьмем, к примеру, нарушение безопасности в Buffer Inc. в 2013 году. То, что начиналось как незаконный доступ к собственному исходному коду Buffer, привело к утечке учетных данных Twitter API компании, что в конечном итоге привело к рассылке спама в учетных записях Twitter бесчисленных клиентов.
Я не собираюсь угнетать Buffer прямо сейчас. Компании взламывают каждый день, и Buffer дал первоклассный ответ. Их нефильтрованная прозрачность и информирование об инцидентах послужили интересным примером важности управления секретами как основного принципа информационной безопасности. Но это также поднимает вопрос о том, как лучше всего управлять секретами в растущей, масштабируемой организации.
Введение в HashiCorp Vault
Я большой поклонник HashiCorp. Их подход к инструментам DevOps, не зависящий от поставщика, предоставляет отличные портативные решения, которые абстрагируются от отдельных поставщиков облачных услуг и фокусируются на решении реальных проблем. Их инструмент управления секретами, Vault, не исключение.
В то время как каждый отдельный поставщик облачных услуг имеет собственное решение для управления секретами, Vault является независимым от поставщика решением, которое позволяет централизованно управлять и обеспечивать доступ к секретам приложений без учета базового механизма секретов или методов аутентификации.
Установка Vault
Прежде чем мы сможем начать работу с Vault, нам сначала нужно его установить. Как и все продукты HashiCorp, Vault кроссплатформенный, с поддержкой macOS, Windows, Linux, Solaris и даже BSD. Вы даже можете запустить его на Raspberry Pi.
Запуск сервера
После установки Vault нам нужно запустить наш сервер. В этой статье я буду работать только с сервером разработки Vault. Однако важно отметить, что сервер разработки невероятно небезопасен и хранит все данные в памяти, а это означает, что при его перезапуске все будет потеряно. По словам самих HashiCorp:
Сервер разработки следует использовать для экспериментов с функциями Vault, такими как: различные методы аутентификации, механизмы секретов, устройства аудита и т. д.
Как видите, на экран выводится много данных, с которыми вы можете поиграть. Прежде всего следует отметить, что сервер разработки по умолчанию не запускается как демон (и в целях тестирования, никогда не должен запускаться как демон). Следовательно, если вы хотите взаимодействовать с сервером, вы должны сначала открыть второе окно терминала и экспортировать предоставленную переменную среды VAULT_ADDR, чтобы команда Vault хранилища знала, с каким сервером она должна взаимодействовать.
Также важно отметить значения Unseal Key и Root Token. Хотя мы коснемся того, что делать с Root Token в следующем разделе, понимание запечатывания / распечатывания Vault имеет решающее значение для правильного развертывания Vault в производственной среде.
Расшифровка и аутентификация
В производственной среде сервер Vault запускается в закрытом состоянии. Это означает, что Vault знает, где находятся данные, но не знает, как их расшифровать. На сервере разработки Vault по умолчанию не запечатан (unsealed). Однако, если вы решите запечатать его, вы получите ключ распечатки (Unseal Key), чтобы распечатать (unseal) его. Незапечатанный Vault остается в этом состоянии до тех пор, пока оно не будет повторно запечатано или сам сервер не будет перезапущен.
При первом запуске производственного сервера Vault важно его инициализировать. Этот процесс сгенерирует ключи шифрования и начальный корневой токен, и его можно будет запустить только с новыми хранилищами без каких-либо данных:
Вход в систему
Хранение секретов
В то время как Vault HashiCorp можно использовать для безопасного хранения практически любых данных, наиболее распространенным вариантом использования Vault является хранилище ключей и значений для секретов приложений. После проверки подлинности хранение секретов становится невероятно простым благодаря команде vault kv put :
Например, давайте посмотрим, что произойдет, если мы введем новое значение для того же секрета:
Видите, как был увеличен ключ метаданных версии? Это означает, что наше исходное значение должно поддерживаться в дополнение к новым значениям, что обеспечивает отличный журнал аудита того, какие секреты были изменены и когда.
Извлечение секретов
Хранение секретов — это только половина дела. Другая половина — извлекать эти секреты. В нашем примере выше давайте сначала посмотрим, как получить весь список секретов:
Как видите, хотя технически мы помещаем два секрета, отслеживается только один ключ, потому что эти два секрета на самом деле являются всего лишь двумя версиями одного секрета. Чтобы получить его, выполните команду vault kv get с секретным пространством имен и ключом:
Ценность секретов с управлением версиями невероятна, поскольку они позволяют внутренним службам привязаться к различным секретным версиям, что дает возможность постепенно развиваться, выпускать (release) и откатывать изменения приложений, не опасаясь потери важных данных.
Удаление секретов
Это помечает данные как удаленные ( deleted ) и предотвращает их извлечение в обычных запросах GET, но фактически не удаляет данные:
Чтобы данные действительно были удалены без возможности восстановления, необходимо использовать команду destroy:
Вместо того, чтобы просто пометить данные как удаленные и ограничить доступ к ним, команда destroy удалит их полностью, что сделает невозможным последующее извлечение:
Копаем глубже в HashiCorp Vault
Vault — сложный инструмент, и управление такими секретами — это лишь малая часть того, что можно с его помощью сделать. Хотя тонкости Vault выходят далеко за рамки этой статьи, давайте коснемся лишь нескольких других концепций, которые делают Vault таким мощным.
Secrets engines
Хранилище ключей и значений по умолчанию в Vault является примером механизма секретов (в частности, механизма под названием kv ). По своей сути алгоритм секретов — это абстрактный механизм хранения секретных данных. Это означает, что вместо механизма хранения на основе ключа-значения можно использовать более целевые механизмы хранения. Например, механизм секретов базы данных может использоваться для динамического генерирования учетных данных базы данных ( database ) на основе настроенных ролей для MySQL и MariaDB, что позволяет производить автоматическую ротацию учетных данных root или даже временные учетные данные для доступа по запросу.
Методы аутентификации
В дополнение к стандартному методу аутентификации на основе токенов Vault поддерживает ряд дополнительных методов аутентификации для лучшей поддержки ваших вариантов использования. Отличным примером этого является метод проверки подлинности GitHub, который можно использовать для автоматического предоставления доступа к Vault разработчикам, принадлежащим к определенной организации GitHub — и даже к определенной группе внутри организации GitHub — с использованием только токена личного доступа. Для более крупных организаций решения единого входа на уровне предприятия, такие как LDAP или Okta, могут использоваться для аутентификации пользователей в Vault.
Авторизация
Авторизация всегда идет рука об руку с аутентификацией. Хотя предоставить глобальный доступ с помощью GitHub или аутентификации на основе токенов несложно, это почти никогда не бывает полным решением. Благодаря политике Vault может быть реализован метод авторизации в стиле RBAC, предоставляющий разным пользователям и группам CRUD-подобный доступ к различным аспектам самого хранилища. В сочетании с одним из более продвинутых методов аутентификации это может стать невероятно мощным инструментом для детального контроля доступа в большой организации.
За пределами Vault
Каким бы мощным ни было Vault, настроить его правильно довольно сложно. Хотя размер и объем различных методов проверки подлинности и механизмов секретов ясно показывают, сколько вы можете сделать с Vault, может быть сложным осмыслить основы управления секретами в контексте информационной безопасности исходного кода. Благодаря впечатляюще большому количеству как официальных, так и общественных библиотек API, получение секретов безопасным способом невероятно просто, и если вы стремитесь стать опытным пользователем Vault, собственная учебная программа Vault HashiCorp – отличный способ для начала изучения.
Помимо безопасности приложений и инфраструктуры, вам нужен план быстрого реагирования на инциденты. Ознакомьтесь с нашим бесплатным руководством «От реактивного к упреждающему: 6 способов трансформации вашего мониторинга и реагирования на инциденты» для создания прозрачных рабочих процессов управления инцидентами с высокой степенью совместной работы.
Функционал Autodesk Vault
Отличительные особенности
Централизованное хранение инженерных данных
Autodesk Vault позволяет организовать единое хранилище данных в рамках предприятия, управлять структурой и системой хранения информации в удобном и привычном пользователям виде.
Управление правами доступа
Инструменты системы Autodesk Vault позволяют назначать права доступа пользователей (просмотр, изменение, удаление, скачивание) к данным на основе назначенных им ролей (например, руководитель, проектировщик и др.). Также, за счет функций управления группами пользователей и интеграции с Active Directory, появляется возможность автоматического перераспределение прав доступа к документам проектов на основе стадий жизненного цикла продукта.
Управление бизнес-процессами
С помощью Autodesk Vault можно описать принятые на предприятии бизнес-процессы согласования и утверждения документов и данных. Такой подход позволяет стандартизировать работу служб предприятия, ускорить и упростить процессы, а также автоматизировать рутинные действия, такие как автоматическое нанесение подписей или рассылку писем.
Хранение истории
Vault предоставляет полный набор инструментов для хранения, отслеживания и управления историей разработки и изменения документов. Автоматически создаваемые во время работы версии документов позволяют в любой момент вернуться к предыдущему состоянию проекта или использовать данные повторно в других проектах. Инструменты создания и работы с редакциями позволяют объединять несколько версий объектов и автоматически отслеживать важные изменения, исключая передачу в смежные отделы или на производство неверных данных.
Работа с файлами
В Vault представлены инструменты для контроля использования файлов, поддержания актуальных версий документов, контроля доступа к ним, защиты от одновременного редактирования и многого другого, что просто невозможно реализовать без применения системы управления инженерными данными.
Поиск
Простой и расширенный поиск, реализованный в Autodesk Vault, дает возможность быстро находить актуальные данные, которые нужны пользователям в текущий момент времени. По статистике, инженеры за неделю тратят половину рабочего дня на поиск необходимой информации. Использование Vault позволяет освободить это время для продуктивной работы и развития бизнеса.
Проверка и согласование проектов
Средства автоматизированной проверки, анализа и сравнения информации об объектах на разных этапах жизненного цикла, которые предоставляет Autodesk Vault, позволяют отследить процесс выполнения проекта и выявить узкие места, предотвратить срыв сроков выдачи результатов проектирования.
Инструменты добавления пометок «красный карандаш» дают возможность проводить согласование и доработки на всех этапах разработки, а также обеспечить отслеживание устранения замечаний.
Печать
Реализованные в Autodesk Vault средства пакетной печати позволяют максимально облегчить и ускорить процесс получения бумажных версий документов. При необходимости печати больших объемов документации пользователям не нужно запускать каждое отдельное приложение – в Vault это можно сделать прямо из окна электронного архива.
Интеграция с САПР
Для удобства пользователей разработаны интеграции Vault с различными САПР (Autodesk, DS Solidworks, Bentley Microstation и др.). Благодаря им вы можете работать с системой прямо из окна САПР, получая доступ к необходимым данным и командам. Такие механизмы интеграции избавляют инженеров от необходимости переключаться от одной программы к другой, сокращают время разработки и способствуют более быстрому освоению и внедрению систем.
Интеграция с ERP-системой
Информация о заказе продукции, как правило, изначально попадает в ERP-систему. Autodesk Vault Professional обладает широким потенциалом для интеграции с ERP-системами благодаря открытому интерфейсу API. Это позволяет осуществлять передачу информации о заказах, применяемой номенклатуре, справочниках и метаданных из ERP в PDM-систему, где она обрабатывается и структурируется, а при необходимости проходит процессы согласования и утверждения. Далее обработанные данные передаются в CAD-системы, избавляя инженеров от необходимости тратить время на что-либо, кроме проектирования. По окончании процесса разработки конструкторской документации в Autodesk Vault формируется электронный состав изделия, который также проходит процесс электронного согласования и утверждения, а затем выгружается в ERP-систему, завершая тем самым процесс разработки «от и до».
Работа с типовыми решениями и библиотеками
Если при проектировании вы используете стандартные библиотеки компонентов, например, из поставки Autodesk Inventor, система Autodesk Vault предоставляет возможности более гибкого управления их содержимым, чем встроенные средства Inventor. Кроме того, в Vault реализованы механизмы создания собственных библиотек типовых решений и работы с ними.
Повторное использование и копирование проектов
Средство Copy Design, входящее в стандартную функциональность Autodesk Vault, обеспечивает процедуру копирования уже разработанных проектов с полным сохранением их структуры и сопутствующих данных, взаимосвязей между объектами, ссылок. Такой подход к использованию информации избавляет от необходимости повторной разработки уже существующих решений.
Поиск дубликатов
Аналогично функции поиска по изображению, но в разрезе 3D-моделей, поиск повторяющегося содержимого позволяет сравнивать 3D-формы в тысячах файлов САПР, которые хранятся в базе данных Vault. Анализ и сравнение геометрии на первоначальной стадии проектирования значительно повышает производительность и ускоряет цикл разработки изделия за счет возможности замены рабочих файлов полностью законченными компонентами. При этом существующие внутри сборочной единицы привязки и взаимосвязи будут максимально адаптированы под новые компоненты.
Управление изменениями
В Autodesk Vault реализованы инструменты для создания запросов на изменение данных (извещений об изменении), в которых содержится описание требований к изменениям, указание сроков внедрения изменений, ответственные лица, выпуск отчета об изменении. Такой процесс обеспечивает прозрачность и исключает ошибки в ходе внесения изменения в проекты.
Управление спецификациями и ведомостями
Autodesk Vault позволяет работать со структурой разрабатываемых и готовых изделий, включающей как самостоятельно спроектированные объекты, так и покупные, стандартные изделия, материалы пр. Состав изделия может быть передан в системы ERP, АСУТП, MES и пр. Этот процесс также может быть полностью автоматизирован за счет открытого Vault API.
Интеграция с Microsoft Office
Vault дает возможность работать в едином информационном пространстве предприятия не только тем пользователям, которые используют системы автоматизированного проектирования, но и пользователям офисных приложений. Надстройка Vault Office обеспечивает работу с системой прямо из окон офисных приложений (Word, Excel, PowerPoint, Outlook), позволяет получать доступ к файлам и данным, участвовать в процессах согласования, внесения изменений и контроля данных.
Веб-клиент
С помощью веб-клиента, реализованного в Autodesk Vault, можно предоставлять общий доступ к документам коллегам, заказчикам, подрядчикам, поставщикам и пр. Пользователю достаточно лишь поделиться ссылкой на документ, после чего получатель сможет открыть и получить всю необходимую информацию прямо из веб-браузера, не устанавливая никаких дополнительных надстроек или утилит.
Мобильное приложение
Мобильное приложение Autodesk Vault предоставляет гибкие возможности для работы с проектными и конструкторскими данными, находящимися в хранилище, а также для получения доступа к ним на мобильном устройстве. Поиск данных, просмотр и проверка проектов, выдача и возврат не относящихся к САПР объектов, просмотр элементов спецификации, изменение состояния жизненного цикла, а также создание и обработка запросов на изменение – всё это теперь всегда под рукой. Приложение Autodesk Vault доступно для мобильных устройств под управлением iOS и Android в Apple App Store и Google Play.
Формирование отчетов
Autodesk Vault Professional дает возможность генерировать отчеты любой сложности по всем объектам и данным, хранящимся в системе. Пользователи сами могут настраивать содержание и форму отчетов, а также принципы отбора и сортировки данных, которые в них попадают. Система также позволяет накладывать данные из отчетов на трехмерные модели CAD-системы Autodesk Inventor, упрощая тем самым контроль исполнения и текущего статуса проекта.
Организация единого информационного пространства между филиалами
Функции автоматической репликации данных между удаленными серверами позволяют организовать в Vault единое информационное пространство данных для разных филиалов и площадок. При таком подходе все участники процесса проектирования всегда имеют доступ к самым актуальным данным и могут не задумываться о процессах ручной передачи и актуализации информации.
Резервное копирование и восстановление данных
Встроенные в Autodesk Vault средства резервного копирования и восстановления информации сводят к минимуму риск потери проектных данных и могут быть настроены на автоматическое выполнение по заданному расписанию
Продукты Vault
Не удалось извлечь оглавление
Что такое Vault?
Программное обеспечение Vault для управления данными помогает специалистам в сфере проектирования и строительства организовывать и отслеживать процессы создания, моделирования и документирования данных, а также управлять ими.
Для быстрого доступа к файлам их можно поместить в одну папку. Сохраняются все версии файлов, что исключает утерю или перезапись конкретной версии. В хранилище находятся все версии файлов и их зависимости, то есть история всех изменений в проекте по ходу работы над ним. Также сохраняются все свойства файла для быстрого поиска и извлечения.
При совместной работе над проектом все файлы и связанные с ними данные хранятся на сервере, чтобы все пользователи имели к ним доступ. Каждый член проектного коллектива должен иметь уникальное имя пользователя и пароль. Если пользователь уже выдал файл, то другим пользователям не разрешается его редактировать. После сдачи файла обратно в хранилище пользователи могут обновить копии этого файла до последней версии.
Autodesk Vault состоит из двух основных компонентов: клиента и сервера. Дополнительные компоненты, например надстройки, файловый сервер и рабочий процесс помогают оптимизировать экосистему управления данными.
Клиент Vault позволяет выполнять функции управления документами, например выдавать и возвращать файлы или копировать проекты. На сервере хранятся эталонные копии всех файлов. Благодаря тому, что все данные хранятся в стандартной централизованной папке, команда проектировщиков имеет общий доступ к информации и может управлять ей. Это централизованное местоположение называется хранилищем. При первом запуске клиента Vault следует выбрать хранилище, в которое необходимо выполнить вход, прежде чем можно будет начать управление данными.
Что такое хранилище?
Хранилище представляет собой среду управления и хранения документов проекта. Оно содержит два основных компонента: реляционную базу данных и хранилище файлов.
Устанавливаются отдельные компоненты программного обеспечения для сервера и клиентских приложений.
Сервер Vault
Сервер Vault состоит из трех компонентов: веб-сервера, базы данных и хранилища файлов. На следующем рисунке показана стандартная конфигурация компонентов.
Сервер базы данных
Сервер базы данных отслеживает связи между данными. Он работает по принципу библиотечного каталога и содержит все индексы и указатели, позволяющие найти интересующую информацию.
По умолчанию при установке Autodesk Data Management Server устанавливается Microsoft® SQL Server Express. Microsoft SQL Server Express можно обновить в любой момент после установки компонентов Autodesk Data Management Server.
Для получения более подробных сведений см. раздел Требования Vault и Обновление Autodesk Vault.
Хранилище файлов
Файловое хранилище и сервер баз данных работают вместе. База данных предоставляет индексную информацию о расположении файлов. Хранилище файлов представляет собой безопасное расположение на сервере, в котором содержатся файлы.
Веб-сервер
Для программы Autodesk Data Management Server требуется установить службу Microsoft Internet Information Services (IIS).
Сервер Autodesk Vault представляет собой веб-приложение, в котором службы используются для управления взаимодействием клиентов и сервера с веб-службами. Взаимодействие между клиентами и сервером выполняется так же, как и взаимодействие с сайтом в сети Интернет. Веб-службы используют стандартные методы HTTP и по умолчанию осуществляют обмен данными через порт веб-сервера 80. Для многопользовательских конфигураций требуются службы Microsoft IIS.
Прокси-сервер
Прокси-сервер переадресует запросы от клиентских компьютеров на другие серверы. В некоторых сетях все клиентские компьютеры должны использовать прокси-сервер при обращении к веб-службам.
Если сеть использует прокси-сервер, то его можно настроить на использование имени узла или на пропуск прокси-сервера клиентов узла.
Клиенты Vault Client
Клиент хранилища является автономным приложением или встроенной надстройкой, которая подключается к серверу хранилища для доступа к файлам и выполнения операций хранилища.
Примером может служить надстройка Inventor. При добавлении данных в хранилище с помощью надстройки Inventor программа сохраняет все комплексные взаимосвязи, созданные сборками, чертежами, схемами и другими файлами.
Для одной среды хранилища имеется один сервер Autodesk Data Management Server и один или несколько клиентов хранилища. Существуют толстый и тонкий клиенты Vault, а также надстройки Vault, которые интегрируются с другими приложениями. Пользователи также могут установить толстый клиент Vault Office.
Vault Client
Толстый клиент Vault, который иногда называют клиентом программы Vault Explorer, позволяет просматривать структуру Vault, добавлять файлы в хранилище, а также выполнять большинство операций с файлами в зависимости от уровня прав. Кроме того, можно настроить схемы редакций, схемы нумерации, определить жизненный цикл, управлять элементами и изменять запросы, а также выполнять другие задачи администрирования в автономном клиенте хранилища. Доступные для администрирования функции определяются используемой редакцией хранилища.
Vault Thin Client
Тонкий клиент Vault позволяет просматривать содержимое хранилища. При наличии лицензии Vault Office можно также выполнять задачи управления файлами, например добавлять файлы в хранилище, выдавать их из хранилища и возвращать в него.
Пользователи Autodesk Vault Professional также могут проверять элементы и спецификации.
Клиент надстройки Autodesk Vault Add-in
Клиенты надстройки предоставляют базовые функции хранилища в среде родительского приложения. Добавляя файлы к хранилищу, надстройки сохраняют специфические для приложения связи данных.
Существуют надстройки для приложений проектирования Autodesk и других производителей. См. раздел Приложения, которые поддерживают надстройки Vault для получения дополнительных сведений.
Vault Office Client
Клиент Vault Office аналогичен полному клиенту Vault за исключением того, что он предоставляет параметры управления данными файлов и папок не в приложениях САПР. Этот клиент идеально подходит пользователям, которым не нужны все функции САПР клиента Vault, но требуется возможность управления документами в хранилище.